בואו נתכנן את הצעד הבא באבטחת הארגון
השאירו פרטים לשיחה
ייעוץ אבטחת מידע ורגולציה / ליווי SOC 2
ליווי SOC 2 מסייע לארגון שירות להיערך לבחינה של בקרות רלוונטיות למערכת ולשירותיו. המסגרת מבוססת על קריטריוני Trust Services של AICPA. ההכנה כוללת תיחום, תכנון, הפעלת בקרות ואיסוף ראיות. חשוב להבחין בין היערכות לבין הבחינה העצמאית והדוח הרשמי של המבקר המוסמך.
מה SOC 2 בוחן?
SOC 2 הוא מסלול בחינה ודיווח על בקרות בארגון שירות. הקריטריונים מתייחסים לאבטחה, זמינות, שלמות עיבוד, סודיות ופרטיות לפי ההיקף שנבחר. אין להניח שכל דוח מכסה אוטומטית את כל הקטגוריות או את כל שירותי החברה. תיאור המערכת וגבולותיה חיוניים להבנת הדוח. דרישת לקוח צריכה להתברר במדויק: סוג דוח, שירות ותקופה. לוגו אינו תחליף לקריאת תחום, מגבלות וחריגים.
Type 1 לעומת Type 2
Type 1 מתייחס לתיאור המערכת ולתכנון הבקרות בנקודת זמן מוגדרת. Type 2 מוסיף בחינה של אפקטיביות הפעלה לאורך תקופה מוגדרת. אי אפשר להחליף פעילות אמיתית בהכנת מסמכים לפני ביקורת. המסלול מותאם לדרישות הלקוחות, לבשלות ולהסכמה עם המבקר. אין כאן הבטחה למשך תקופה או למועד דוח. המבקר קובע את דרישות הבחינה במסגרת ההתקשרות הרשמית.
תיאור המערכת והספקים
ממפים שירות, מידע, תשתית, תוכנה, אנשים ותהליכים. בוחנים תלות בענן ובספקים ומגדירים מי מפעיל כל בקרה. דוח של ספק אינו מכסה אתכם אוטומטית. צריך להבין מה נשאר באחריות הארגון ואיך הוא עוקב אחר הספק. תיאור המערכת משקף פעילות קיימת. שינוי במערכת או בשירות במהלך התקופה דורש בחינה של השפעתו על התחום והראיות.
בקרות וראיות
מגדירים אחראי, תדירות וראיות לכל בקרה רלוונטית. ניהול הצטרפות ועזיבה יכול להסתמך על בקשה, אישור וביטול גישה; שינוי תוכנה על סקירה ואישור. צילום מסך יחיד אינו בהכרח מוכיח פעולה לאורך תקופה. מתכננים איסוף כחלק מהשגרה. כלי מעקב יכול לסייע, אך גם מידע אוטומטי דורש בדיקת התאמה. שומרים ראיות באופן מבוקר ומצמצמים חשיפת מידע.
מוכנות וטיפול בפערים
בודקים אם הבקרות מתוכננות, מיושמות וניתנות להוכחה. מפרידים בין תיעוד חסר לבין פעולה שלא התקיימה. אם סקירה לא בוצעה, תבנית חדשה אינה פותרת את הפער. בונים משימות וקריטריונים למוכנות ומבררים שאלות עם המבקר מוקדם. ההסכם מגדיר את התמיכה בביקורת ואת אחריות הארגון. אין להבטיח דוח ללא חריגים או להציג הכנה כבחינה עצמאית.
תחזוקה ושימוש בדוח
ממשיכים להפעיל בקרות לאחר מסירת הדוח. שינוי במוצר, בצוות או בספק יכול לשנות סיכונים ותיאור. מגדירים סקירות ומעקב חריגים. הפצה ללקוחות נעשית בהתאם לכללי הדוח וההסכם עם המבקר. מענה מסודר נמנע מטענות רחבות מהתחום שנבחן. אפשר למפות חפיפה עם ISO 27001, אך מסמך אחד אינו מחליף אוטומטית את האחר.
מה להכין לשיחת תיחום?
כדאי להכין תיאור של השירותים והמערכות המרכזיות, אנשי קשר, דרישות לקוחות ומועדי יעד. מסמכים וממצאים קודמים יכולים לסייע, אך אין צורך לשלוח סיסמאות, מידע לקוחות או פרטי מערכת רגישים בפנייה הראשונית. לאחר הגדרת ההיקף מסכימים על ערוצי העברה והרשאות לפי צורך. חשוב לזהות מי מאשר החלטות ומי מסוגל לבצע שינויים, כדי שתוכנית העבודה תתאים לזמינות ולמשאבים של הארגון.
מהתוצר לתוכנית שאפשר לתחזק
לכל פעולה מגדירים אחראי, תלות, מועד ותנאי סגירה. מבחינים בין מסמך שנכתב לבין שינוי שהוטמע ונבדק. אם אי אפשר להשלים פעולה בזמן, מתעדים את הסיבה ואת ההחלטה לגבי הסיכון שנותר. בישיבות מעקב בוחנים גם שינוי בפעילות, ולא רק אחוז השלמת משימות. בסיום הליווי מסדירים מקום לשמירת התוצרים, העברת ידע והמשך עדכון. המטרה היא שהארגון יוכל להשתמש בהחלטות גם לאחר סיום הפרויקט.
מקור מקצועי: AICPA — SOC Suite of Services. תיאור זה הוא הסבר כללי ואינו מחליף את נוסח המסגרת ואת התיחום המקצועי.
תחומים משלימים
שאלות נפוצות
האם SOC 2 היא תעודת ISO?
לא. SOC 2 הוא מסלול בחינה ודיווח על בקרות; ISO 27001 עוסק במערכת ניהול עם הסמכה נפרדת.
מה ההבדל בין Type 1 ל־Type 2?
Type 1 מתמקד בתכנון בנקודת זמן; Type 2 כולל אפקטיביות הפעלה לאורך תקופה.
מי מוציא את הדוח הרשמי?
מבקר עצמאי מוסמך במסלול המתאים. הליווי עוסק במוכנות וביישום ולא בהבטחת דוח.
האם כלי ציות מספק?
לא. נדרשים אחריות, יישום וראיות שמתאימים להיקף ולתקופה.
האם דוח ספק הענן מכסה אותנו?
לא אוטומטית. בוחנים גבולות וחלוקת אחריות.
מתי אוספים ראיות?
כחלק מהפעלת בקרות בתקופה שסוכמה. אין ליצור תיעוד בדיעבד כאילו פעולה התרחשה.
נגדיר יחד תוכנית שמתאימה לארגון
לתמונה הרחבה עברו אל ייעוץ אבטחת מידע של ExploiX. צרו קשר לשיחת תיחום עם תיאור קצר של המטרה והפעילות.